Exchange Server Supervisory Review Hibrit ve Karşılaştırma

Exchange Server Supervisory Review Hibrit ve Karşılaştırma, modern kurumsal uyum ihtiyaçlarının kalbinde yer alan kritik bir konudur. Günümüzde birçok organizasyon, hem on-prem Exchange Server altyapısını hem de bulut tabanlı Microsoft Purview Communication Compliance yeteneklerini birlikte kullanıyor. Bu karma mimari, doğru yönetildiğinde güçlü bir denetim modeli sunarken, yanlış kurgulandığında uyum açıklarına, veri akış sorunlarına ve denetim boşluklarına yol açabilir.

Bu nedenle hibrit yapılarda Supervisory Review’in nasıl uygulanacağı, hangi denetimlerin nerede yapılacağı, on-prem ve Purview arasındaki farkların ne olduğu ve geçiş sürecinde hangi adımların kritik rol oynadığı net bir şekilde anlaşılmalıdır. Bu makale, hem teknik ekipler hem de uyum yöneticileri için on-prem Exchange Supervisory Review ile Purview Communication Compliance çözümlerinin kapsamlı bir karşılaştırmasını sunar.

Burada yalnızca özellikleri listelemiyoruz;

• Performans,
• regülasyon uyumu,
• örnekleme kalitesi,
• AI destekli inceleme yetenekleri,
• maliyet,
• esneklik,
• hibrit veri akışı gibi karar mekanizmasını doğrudan etkileyen unsurları ayrıntılı olarak açıklıyoruz.

Bu yazı, serinin önceki bölümlerinde ele aldığımız mimari yapı, roller, güvenlik, veri yönetimi ve ölçümleme konularının doğal devamı niteliğindedir ve Supervisory Review’in hibrit yapılardaki gerçek dünyadaki karşılığını ortaya koymayı hedefler.

Exchange Server Supervisory Review Hibrit ve Karşılaştırma makalesi içinde aşağıda ki başlıklara odaklanacağız.

1. Hibrit Mimari ve Önemi?

Exchange Server Supervisory Review Hibrit ve Karşılaştırma yapmak için hibrit mimarinin günümüz Bilgi Teknolojileri dünyasına katmış olduğu avantajları iyi bilmemiz gerekmektedir.

Günümüz kurumlarında yaygın olarak karşılaşılan karma e-posta altyapılarının denetimi söz konusu olduğunda kritik bir ihtiyaç haline gelmiştir. Birçok organizasyon hâlâ on-prem Exchange Server altyapısını kullanırken, aynı zamanda Microsoft 365 / Purview Communication Compliance yeteneklerinden faydalanmak istemektedir. Bu durum, e-posta trafiğinin iki farklı platform arasında yayıldığı, denetim süreçlerinin iki ayrı dünyada çalıştığı karmaşık bir yapı ortaya çıkarır.

Modern hibrit ortamlarda asıl zorluk, “hangi denetimin nerede yapılacağı” ve “iki sistemin birlikte nasıl yönetileceği” sorusudur.
Yanlış konumlandırılmış bir hibrit Supervisory Review modeli:

• Denetim boşlukları oluşturabilir,
• Mesajların yanlış platformda değerlendirilmesine yol açabilir,
• Örnekleme oranlarının bozulmasına neden olabilir,
• Regülasyon uyumunda ciddi açıklara sebep olabilir,
• İç denetim ve dış denetçi süreçlerinde ispat yükümlülüğünü zayıflatabilir.

Bu nedenle hibrit bir mimaride hem on-prem Supervisory Review’in sınırlamalarını, hem de Purview Communication Compliance’ın avantajlarını anlamak zorunludur. Kurumlar yalnızca teknik bakış açısıyla değil, aynı zamanda uyum, regülasyon, veri bütünlüğü ve işletme maliyeti açısından da doğru konumlama yapmak zorundadır.

Bu makale, hibrit yapılarda denetimi doğru şekilde kurgulayabilmek için şu soruların tamamına sistematik bir yanıt sunar:

• On-prem Supervisory Review tam olarak ne yapabilir?
• Purview Communication Compliance hangi gelişmiş yetenekleri sunar?
• Hangi denetimler hâlâ on-prem’de kalmalıdır?
• Hibrit mesaj akışı denetimi nasıl etkiler?
• Kurum hangi aşamada Purview’a geçişi düşünmelidir?
• On-prem + Purview birlikte çalışabilir mi, hangi senaryolarda?

Önceki makalelerde Supervisory Review’in mimari yapısını, rollerini, güvenlik ve yetkilendirme katmanını, veri saklama ve ölçümleme süreçlerini ayrıntılı biçimde ele almıştık.
Bu bölüm ise o temelin üzerine oturarak, iki dünyanın güçlü yönlerini ve zayıflıklarını karşılaştırır ve hibrit yapılarda doğru stratejiyi belirlemenin yolunu gösterir.

2. On-Prem Supervisory Review: Güçlü ve Zayıf Yanları

On-prem Exchange Server Supervisory Review, yıllardır birçok kurum tarafından kullanılan yerleşik bir e-posta denetim mekanizmasıdır. Özellikle tamamen kendi veri merkezinde çalışan yapılar için hâlâ kritik bir uyum aracı olarak görülür. Ancak bu modelin temel tasarımı, Purview Communication Compliance’ın sunduğu modern denetim kabiliyetlerine göre daha sınırlı ve operasyonel olarak daha hantal bir yapıya sahiptir.

Aşağıda on-prem Supervisory Review’in güçlü, zayıf ve kritik sınırlayıcı yönlerini detaylandırıyoruz.

2.1 Teknik Yetenekler

On-prem Supervisory Review, Exchange Transport Pipeline üzerinden mesajları yakalayarak inceleme kuyruğuna aktarır. Teknik açıdan temel işlevler sağlar

2.1.1. Güçlü yönleri

• Tamamen kurum içinde çalışır: Veriler dış sisteme çıkmaz, kapalı devre güvenlik sağlar.
• Transport Layer entegrasyonu: Mesajlar gönderilir gönderilmez yakalanabilir.
• Basit örnekleme mekanizması: % bazlı örnekleme, kullanıcı / grup bazlı seçme, anahtar kelime filtreleme.
• Denetim sonuçlarının on-prem arşivleme sistemleri ile saklanabilmesi.

2.1.2 Sınırlı Yetenekler

• İçerik analizi yalnızca anahtar kelime ve basit kurallarla sınırlıdır.
• Yapay zekâ, duygu analizi, bağlam analizi veya davranış modelleme yapamaz.
• Multi-message correlation (mesaj dizisi ilişkisi) bulunmaz.
• Çoklu iletişim kanalı (Teams, WhatsApp, SMS vb.) desteği yoktur — yalnızca e-posta.

2.2 Uyum ve Regülasyon Yetenekleri

On-prem model özellikle finans, hukuk ve kamu sektöründe uzun süre temel uyum aracı olarak kullanılmıştır.

2.2.1 Güçlü Yönler

• Regülatör tarafından kabul görmüş oturmuş bir yöntemdir
  (SPK, SEC, MiFID gibi).
• Retention & Legal Hold ile entegre çalışır.
• Denetim sonuçları arşivlenebilir ve eDiscovery’de görülebilir.

2.2.2 Sınırlı / Zayıf Yönler

• Regülatörlerin talep ettiği detaylı davranış analizi veya AI tabanlı risk sınıflandırması desteklenmez.
• Denetim kapsamı genişledikçe manuel iş yükü hızla artar.
• Yalnızca e-posta incelemesi yapılabildiği için, kurumsal iletişimin diğer kanalları denetlenemez.

2.3 Sınırlamalar (Performans, ölçeklenebilirlik, yönetim zorluğu)

Bu bölüm, on-prem denetimin neden modern bulut yapılarına oranla sınırlı kabul edildiğini açıkça ortaya koyar.

2.3.1 Performans Sınırlamaları

• Yüksek e-posta hacmi → ağır indexing yükü
• Denetim kuyruğu hızla şişebilir
• Content Index bozulmaları denetimi durdurabilir
• Donanım kapasitesi (CPU/IOPS) kritik önem taşır

2.3.2 Yönetimsel Sınırlamalar

• Denetim kuyrukları manuel takip gerektirir
• Reviewer görev dağılımı otomatik değildir
• Denetim sonuçlarının sınıflandırılması sınırlıdır
• Raporlama araçları zayıf ve çoğu CSV tabanlıdır

2.3.3 Uyumluluk Sınırlamaları

• Etkileşimli raporlama yok
• Case management yok
• AI tabanlı risk skorlama yok
• Multi-channel denetim yok (Teams, SharePoint, OneDrive gibi)

2.4 Mini Senaryo — “On-Prem Denetim Tıkanması”

Büyük bir üretim şirketinde günlük ortalama posta hacmi 700.000 mesajdır. Supervisory Review politikası %10 örnekleme ile yapılandırılmıştır.

Bir hafta sonunda:

• Denetim kuyruğu 12.000+ mesaja ulaşır
• Reviewer’lar yetişemez
• Indexing durur, ContentIndex Failed durumuna geçer
• Regülatör için hazırlanacak aylık rapor eksik çıkar

Bu durum, denetim modelinin “çalışmasına rağmen sürdürülemez” olduğu anlamına gelir. Yöneticiler çözüm olarak denetim oranını %10’dan %3’e düşürür — ancak bu da regülasyon uyumunda risk yaratır.

2.5 On-Prem Supervisory Değerlendirme

Güvenli ve tamamen kurum içinde çalışan bir modeldir ve böylece Veriler dış ortama çıkmadığı için kapalı devre bir denetim yapısı sunar. Regülasyon açısından uzun yıllardır kabul görmüş bir yapıdır ve SPK, SEC, MiFID gibi birçok regülatör tarafından tanınır ve on-prem denetim modeli halen geçerliliğini korur.

Ancak aşağıdaki sınırlamalar nedeniyle modern kurumlarda tek başına yeterli değildir

• Sınırlı yapay zekâ ve gelişmiş içerik analizi yetenekleri
• Zayıf ve çoğu zaman manuel raporlama mekanizmaları
• Büyük hacimlerde ölçeklenebilirlik sorunları
• Teams, OneDrive, SharePoint gibi modern iletişim kanallarını denetleyememesi

Bu nedenle pek çok kurum, günümüz denetim süreçlerini daha iyi yapabilmek ve oluşabilecek davalarda daha sağlıklı kanıtlar bulabilmek için on-prem Supervisory Review’i tamamen bırakarak ya da hibrit bir modelle destekleyerek Microsoft Purview Communication Compliance gibi daha gelişmiş çözümlere yönelmektedir.

3. Exchange Online / Purview Communication Compliance

Kurumlar e-posta denetimini modernleştirmek, çoklu iletişim kanallarını tek bir uyum çerçevesinde toplamak ve regülasyon süreçlerini otomatik hale getirmek istediğinde tercih edilen çözüm artık Microsoft Purview Communication Compliance’tır. Exchange Online altyapısı üzerinde çalışan bu sistem, klasik on-prem Supervisory Review’in ötesinde; yapay zekâ destekli analiz, otomasyon, davranış tespiti ve çok kanallı denetim gibi güçlü yeteneklerle kurumsal gözetim modelini yeniden tanımlar.

Purview’ın en büyük avantajı, denetimi yalnızca “ileti içeriğine bakmak” seviyesinden çıkarıp, bütünsel bir risk yönetimi ve davranış analizi düzeyine taşımış olmasıdır.

Aşağıda Purview Communication Compliance’ın sağladığı yetenekleri hem teknik hem operasyonel hem de regülasyon bakış açısıyla inceliyoruz.

3.1 Yapay Zekâ Destekli Denetim

On-prem modellere göre en büyük fark burada başlar: Exchange Online üzerindeki Purview, yalnızca kelime eşleşmesi yapan bir filtre değildir; bağlamı, davranışı, içerik yapısını ve olası ihlali analiz eden çok katmanlı bir yapay zekâ motoruna sahiptir.

3.1.2 Purview’ın Sağladığı AI Yetkinlikleri

• Toksik iletişim tespiti (agresif dil, tehdit, taciz, uygunsuz ton)
• İçerik sızıntısı tespiti (hareket kalıpları, hassas veri transferi)
• İçerik bağlamı analizi (cümle yapısına ve niyete göre risk analizi)
• Pattern-based DLP + davranış analizi birleşimi
• Tekilleştirilmiş risk skoru: Her ihlale 0–100 arası risk seviyesi atanır

Bu yetenekler, klasik on-prem SR’den farklı olarak sadece “ne söylendiğini” değil “neden söylendiğini” de algılayabilmeyi sağlar.

3.2 Gelişmiş Örnekleme ve İçerik Anlama

On-prem Supervisory Review’de örnekleme oranları sabittir (ör. %10). Purview ise örneklemeyi risk ağırlıklı ve dinamik olarak yapabilir. Purview’daki Örnekleme Yetkinlikleri aşağıda ki maddeler ile özetleyebiliriz.

• Riskli kullanıcılar için otomatik daha yüksek örnekleme
• İçerik duyarlılığına göre örnekleme artırma
• Sektör uyumluluğuna göre politika temelli örnekleme (SPK/FCA uyumu)
• Davranış değişikliğine göre otomatik örnekleme ayarı
• Keyword + AI bağlam analizi kombine filtreleme

Bir kullanıcının davranışı riskli hale geldiğinde sistem örneklemeyi otomatik yükseltir. Bunu on-prem ortamda yapmak mümkün değildir.

3.3 Otomatik Politikalar, Eskalasyon ve Case Management

Purview, yalnızca ihlal tespiti yapan bir sistem değildir; aynı zamanda tam bir case management platformudur. Purview tarafında öne çıkan yetenekler;

• Otomatik ihlal sınıflandırması
• İhlalin ilgili yöneticilere veya uyum ekibine otomatik atanması
• Birden fazla denetim sürecini tek panelden yönetme
• Case içinde kanıt toplama, not ekleme, iş akışı yönetme
• İhlalin ciddiyetine göre otomatik eskalasyon
• Workflow Engine ile özel denetim akışları oluşturma

On-prem Exchange SR, sadece basit “uygun / uygunsuz” işaretlemesi yapabilirken, Purview tam bir olay yönetim sistemi sunar.

3.4 Regülasyon için Hazır Uyumluluk Paketleri

Purview’ın en kritik farklarından biri, global regülasyonlara özel hazır kurulum paketleridir.

3.4.5 Purview Hazır Regülasyon Paketleri

• SEC 17a-4,
• FINRA,
• FCA,
• MiFID II,
• SPK türev denetim gereksinimleri,
• HIPAA,
• ISO 27001 / 27701,
• GDPR veri sızıntısı tespiti,
• MASAK iletişim izleme kapsamı

3.4.5 Purview Hazır Regülasyon Avantajları

• Hazır politika setleri,
• Özel örnekleme oranları,
• Denetim sınıflandırmaları,
• Raporlama şablonları,
• Eskalasyon iş akışları

Özet ile Purview “regülatöre göre optimize edilmiş gözetim” sunar. On-prem ortamda ise her şeyin manuel olarak tasarlanması gerekir.

3.5 Purview’un Operasyonel Avantajları

• Otomatik ölçeklenir → Indexing/Queue problemi yok
• Yük dengelemeyi Microsoft yapar
• Her iletişim kanalı tek merkezden incelenir ve böylece
  • Exchange Online
  • Teams mesajlaşma
  • SharePoint / OneDrive dosya paylaşımları
  • Yammer
  • Viva Engage
  • Üçüncü parti bağlayıcı platformlar
• Tam görünürlük: tüm iletişim ortamlarında uyum denetimi
• Güncellemeler otomatik: Yapay zekâ modelleri sürekli güncellenir
• Gelişmiş dashboard ve raporlama

3.6 Mini Senaryo – “Davranışsal İhlal Tespiti”

Bir çalışan, normalde sadece iç yazışmalar yapan bir pozisyondadır. Son bir haftada:

• 6 dış alıcıya dosya paylaşmıştır,
• Dış paylaşımların 4’ünde “Confidential” etiketli belgeler vardır,
• Dil tonu normalden daha saldırgandır,
• Mesaj hacminde alışılmadık artış vardır.

On-Prem Supervisory Review bu davranışların hiçbirini tespit edemez; yalnızca kelime eşleşmesi yapabilir. Purview Communication Compliance ise:

• Kullanıcı davranışındaki değişimi analiz eder
• Risk skoru üretir (ör. 82/100)
• Bu kullanıcıyı “yüksek riskli” olarak işaretler
• Örnekleme oranını otomatik artırır
• Uyum ekibine otomatik case açar

Bu senaryo, Purview’un yalnızca “ileti analizi” değil, davranış analizi yapabildiğini gösterir ve AI desteği ile yerel veri merkezi içinde çalışan Supervisory Review ‘e göre bir dava da daha iyi sonuçlar sağlar.

4. Supervisory Review vs Purview: Karşılaştırma Tablosu

Supervisory Review’in güvenilirliği yalnızca denetim sürecine değil, aynı zamanda bu denetimi destekleyen veri saklama ve koruma mekanizmalarına bağlıdır.
Bir kurumun e-posta bütünlüğünü, delil zincirini ve denetim sonuçlarının doğruluğunu garanti altına alabilmesi için Retention Policy, Legal Hold ve eDiscovery gibi çekirdek özelliklerin doğru tasarlanması gerekir.

Aşağıdaki tablo, bu üç temel mekanizmanın amacını ve denetim süreçleri üzerindeki etkisini karşılaştırmalı olarak özetlemektedir.

Mekanizma	Amacı	Denetim Üzerindeki Etkisi
Retention Policy / Retention Tag	E-posta ve denetim kayıtlarının belirli bir süre boyunca sistemde saklanmasını sağlar.	İncelenen iletilerin ve denetim sonuçlarının erken silinmesini engeller, delil bütünlüğünü korur.
Litigation Hold / Legal Hold	Yasal inceleme veya regülatör denetimi durumunda ilgili posta kutularındaki tüm öğeleri koruma altına alır.	Mesajların ve Supervisory Review log’larının değiştirilmesini veya silinmesini engeller; yasal delil niteliğini güçlendirir.
Arşivleme / eDiscovery	Geçmiş mesajlar, denetim kayıtları ve inceleme sonuçlarının aranabilir, raporlanabilir ve dosya bazlı incelenebilir olmasını sağlar.	Regülatör veya iç denetim taleplerinde, geçmiş denetim faaliyetlerinin hızlıca bulunmasını ve raporlanmasını mümkün kılar.

Bu mekanizmalar birlikte kullanıldığında, Supervisory Review yalnızca bir “ileti inceleme” aracı olmaktan çıkar; kurumun regülasyona uyum güvencesi haline gelir.
Retention, Legal Hold ve eDiscovery entegrasyonu sayesinde:

• delil niteliği korunur,
• denetim sonuçları değiştirilemez hale gelir,
• geçmiş veriye hızlı erişim sağlanır,
• uyum denetimlerine hazırlık süresi ciddi şekilde kısalır.

Bu nedenle, veri saklama ve denetim katmanı, Supervisory Review mimarisinin en kritik yapı taşlarından biri olarak değerlendirilmelidir.

4.1 Teknik Yetenekler Karşılaştırması

Supervisory Review’in gerçek gücü, hangi teknik yeteneklere sahip olduğu ve bunların kurumun denetim ihtiyaçlarını ne ölçüde karşılayabildiği ile doğrudan ilişkilidir.
Bu nedenle on-prem Exchange Supervisory Review ile Microsoft Purview Communication Compliance arasındaki teknik farkları tablolaştırmak, kurumların hangi platformda hangi avantajı elde edeceğini net bir biçimde görmesini sağlar.

Aşağıdaki karşılaştırma, iki mimariyi örnekleme, içerik analizi, otomasyon, davranış tespiti, çok-kanal desteği ve ölçeklenebilirlik gibi çekirdek teknik yetenekler üzerinden değerlendirmektedir.

Teknik Yetenek	Exchange On-Prem Supervisory Review	Purview Communication Compliance
Örnekleme Mekanizması	Sabit oran (%5–%20), manuel ayarlanır.	Dinamik örnekleme, risk bazlı otomatik ayarlama.
İçerik Analizi	Keyword temelli analiz.	AI destekli bağlam analizi, toksisite ve duygu tespiti.
Davranış Analizi	Yok.	Anomali tespiti, kullanıcı risk skoru.
Kapsam	Sadece Exchange e-postaları.	Exchange, Teams, SharePoint, OneDrive, 3rd-party bağlantılar.
Raporlama	Statik ve sınırlı.	Dinamik dashboard, trend analizi, gelişmiş filtreleme.
Eskalasyon / Workflow	Basit işaretleme (uygun / uygunsuz).	Çok aşamalı case management ve otomasyon.
Arşiv / Denetim Entegrasyonu	Temel Exchange eDiscovery.	Purview eDiscovery + Audit Premium entegrasyonu.
Ölçeklenebilirlik	Sunucu donanımı ile sınırlıdır.	Tam otomatik bulut ölçeklenebilirliği.
Yapay Zekâ	Yok.	NLP, davranış analizi, anomali tespiti.
Güncellemeler	CU/patch ile manuel güncellenir.	Otomatik; Microsoft tarafından düzenli olarak geliştirilir.

4.2 Regülasyon Karşılaştırması

Regülasyon uyumluluğu, özellikle finans, sigorta, yatırım danışmanlığı, telekom ve sağlık sektörlerinde Supervisory Review’in temel gerekçesidir. On-prem Exchange Supervisory Review yıllarca SPK, SEC ve MiFID gibi otoritelerin minimum gereksinimlerini karşılamış olsa da; modern iletişim ortamları, çoklu kanal kullanımı ve davranış temelli risk analizi gereksinimleri nedeniyle artık Purview Communication Compliance daha kapsamlı bir uyum çerçevesi sunmaktadır.

Aşağıdaki tablo, iki mimarinin regülasyon uyumu, denetim kapsamı, delil bütünlüğü, raporlanabilirlik ve çoklu kanal uyumluluğu açısından nasıl konumlandığını göstermektedir.

Regülasyon Boyutu	Exchange On-Prem Supervisory Review	Purview Communication Compliance
Regülatör Uyumu	SEC, FINRA, SPK ve MiFID için temel uyum sağlar.	SEC, FINRA, MiFID II, FCA, SPK, GDPR, HIPAA gibi modern çerçevelere tam uyumludur.
Denetim Kapsamı	Sadece e-posta denetimi yapılabilir.	E-posta + Teams + OneDrive + SharePoint + Viva + 3rd-party platformlar.
Delil Bütünlüğü	Temel denetim logları mevcut; sınırlı bütünlük garantisi.	Immutable Audit (Günlük Premium), Legal Hold entegrasyonu ile güçlü delil bütünlüğü.
İzlenebilirlik	Uygun/Uygunsuz işaretlemesi ile sınırlıdır.	Risk skoru, davranış trendi, case management ile tam izlenebilirlik.
Regülasyon Raporlaması	Çoğunlukla manuel raporlar ve statik çıktılar.	Regülatöre özel dashboard’lar, trend analizi ve otomatik raporlama.
Uyum Süreci Otomasyonu	Kısıtlı otomasyon; çoğu adım manuel.	Tam otomasyon; ihlal tespiti → eskalasyon → case → kapatma süreçleri uçtan uca yönetilir.

Regülasyon açısından bakıldığında on-prem Supervisory Review hâlâ geçerli olmakla birlikte, tek başına modern denetim gereksinimlerini karşılamada yetersiz kalmaktadır. Purview Communication Compliance ise yalnızca yasal gereklilikleri karşılamakla kalmaz, aynı zamanda çoklu kanal denetimi, otomatik risk yönetimi, gelişmiş audit ve kapsamlı raporlama ile günümüz regülasyon dünyasının beklentilerini fazlasıyla karşılar.

Bu nedenle finans, sigorta ve kritik sektörlerde trend açıkça on-prem → Purview geçişi yönündedir.

4.3 İşletme Maliyeti ve Operasyon Karşılaştırması

Teknik ve regülasyon yetenekleri kadar, işletme maliyeti ve operasyonel yük de hangi denetim modelinin tercih edileceğini belirleyen en kritik faktörlerdendir. On-prem Exchange Supervisory Review ilk bakışta “lisans zaten var, ek maliyet yok” gibi görünse de; donanım, bakım, yedekleme, patch yönetimi, izleme ve insan kaynağı maliyetleri eklendiğinde tablo değişir.

Purview Communication Compliance ise abonelik tabanlı bir maliyet modeliyle çalışır; altyapı, kapasite artışı ve güncelleme maliyetleri Microsoft tarafından yönetilir. Bu da operasyonel yükü azaltırken öngörülebilir bir maliyet yapısı sunar.

Aşağıdaki tablo, iki modelin işletme maliyeti ve operasyonel yönetim açısından temel farklarını özetler.

Boyut	Exchange On-Prem Supervisory Review	Purview Communication Compliance
Altyapı Maliyeti	Sunucu, storage, network, yedekleme ve veri merkezi maliyetleri kuruma aittir.	Altyapı Microsoft tarafından sağlanır; kurum sadece lisans/abonelik bedeli öder.
Bakım ve Güncelleme	CU/patch yükleme, donanım yenileme, kapasite planlama gibi işler IT ekibi tarafından yönetilir.	Platform güncellemeleri, kapasite artışları ve performans optimizasyonu Microsoft tarafından yapılır.
Operasyonel İş Yükü	Denetim kuyruk takibi, log yönetimi, performans sorunları ve bakım işleri yüksek operasyonel yük oluşturur.	Denetim süreçleri büyük ölçüde otomatikleştirilmiştir; operasyonel yük daha düşüktür.
Ölçek Büyüdükçe Maliyet	Kullanıcı ve trafik arttıkça donanım, lisans ve yönetim maliyetleri orantısız şekilde artar.	Kullanıcı sayısına göre öngörülebilir lisanslama; altyapı ölçeklenmesi bulut tarafından yönetilir.
İnsan Kaynağı İhtiyacı	Exchange, altyapı, güvenlik ve denetim süreçleri için ayrı uzmanlıklar ve ekipler gerektirir.	Daha az operasyonel müdahale gerektirir; odak teknik detaydan ziyade denetim politikalarına kaydırılabilir.
Toplam Sahip Olma Maliyeti (TCO)	Başlangıçta “lisans zaten var” hissi verse de, uzun vadede donanım + bakım + insan kaynağı nedeniyle TCO yüksektir.	Abonelik tabanlı, öngörülebilir ve uzun vadede genellikle daha düşük TCO sunar; özellikle büyük kurumlarda avantajlıdır.

On-prem Supervisory Review, hâlihazırda güçlü bir Exchange altyapısı olan ve veriyi tamamen kendi veri merkezinde tutmak isteyen kurumlar için ilk bakışta cazip görünse de; donanım, bakım, ölçeklenme ve insan kaynağı maliyetleri uzun vadede toplam sahip olma maliyetini yükseltir.

Purview Communication Compliance ise, özellikle kullanıcı sayısı yüksek ve çoklu iletişim kanalı kullanan kurumlar için;
daha düşük operasyonel yük, daha öngörülebilir maliyet ve daha sürdürülebilir bir denetim modeli sunar.

Bu nedenle modern denetim ihtiyaçları ve maliyet/operasyon dengesi birlikte değerlendirildiğinde, hibrit veya tamamen Purview tabanlı yaklaşımlar stratejik olarak daha güçlü bir seçenek haline gelmektedir.

4.4 Operasyonel Yetenekler Karşılaştırması

Teknik ve regülasyon kabiliyetleri kadar, günlük operasyonların nasıl yönetildiği de bir denetim çözümünün gerçek hayatta ne kadar sürdürülebilir olduğunu belirler.
On-prem Exchange Supervisory Review, çoğu zaman IT ekibinin omzuna binen manuel süreçler, kuyruk takibi, log temizliği ve kapasite yönetimi gibi operasyonel yükler yaratırken; Purview Communication Compliance bu yükün önemli bir kısmını otomasyon ve hazır iş akışlarıyla hafifletir.

Aşağıdaki tablo, iki modelin iş akışı yönetimi, kuyruk takibi, otomasyon, izleme ve olay müdahalesi açısından nasıl konumlandığını özetler.

Operasyonel Boyut	Exchange On-Prem Supervisory Review	Purview Communication Compliance
İş Akışı Yönetimi	Temel düzeyde inceleme ve işaretleme (uygun / uygunsuz); gelişmiş iş akışları manuel süreçlerle yürütülür.	Case management, çok aşamalı iş akışları, otomatik atama ve kapatma süreçleri ile uçtan uca süreç yönetimi sağlar.
Kuyruk Yönetimi	İnceleme kuyruğunun takibi çoğunlukla manuel yapılır; kuyruk şişmesi ve gecikmeler sık yaşanabilir.	Kuyruk durumu dashboard üzerinden izlenir; otomatik atama ve önceliklendirme ile iş yükü dengelenir.
Otomasyon Düzeyi	Çoğu denetim ve raporlama adımı betik ve manuel işlemlere dayanır.	İhlal tespiti, eskalasyon, case açma, raporlama ve kapatma süreçleri büyük ölçüde otomatikleştirilebilir.
İzleme ve Alarm Mekanizmaları	Temel log kontrolü ve manuel takip; özel alarm mekanizmaları ayrı izleme sistemleriyle entegre edilmelidir.	Dahili uyarılar, risk skoruna göre bildirimler ve olay bazlı alarmlar ile proaktif izleme sağlar.
Olay Müdahalesi (Incident Response)	İhlal tespiti sonrası aksiyon planı genelde e-posta, toplantı ve manuel süreçlerle yürütülür.	Case içinde görev atama, not ekleme, delil toplama ve kapatma adımları tek ekrandan yönetilebilir.
Günlük Operasyon Yönetimi	IT ve uyum ekipleri arasında yüksek koordinasyon ihtiyacı; süreçler kişiye bağımlı hale gelebilir.	Operasyon daha çok denetim politikasının tasarımı ve sonuçların yorumlanmasına odaklanır; teknik yük azalır.

Operasyonel açıdan bakıldığında:

• On-prem Supervisory Review, günlük yönetim ve izlemenin önemli bir kısmını IT ve denetim ekiplerinin omzuna yükleyen, manuel süreç ağırlıklı bir modeldir. Özellikle büyük kurumlarda kuyruk takibi, log temizliği, performans izleme ve ihlal süreçlerinin koordine edilmesi ciddi zaman ve efor gerektirir.
• Purview Communication Compliance ise operasyonun odak noktasını “altyapıyı çalışır halde tutmaktan” alıp, “denetim politikasını geliştirme ve sonuçları yorumlamaya” kaydırır. Otomasyon, dashboard’lar, case management ve uyarı mekanizmaları sayesinde denetim süreci daha proaktif, izlenebilir ve tekrar edilebilir hale gelir.

Bu nedenle, uzun vadeli operasyonel sürdürülebilirlik ve ekip verimliliği açısından değerlendirildiğinde, Purview tabanlı modeller açık bir avantaj sunar.

5. Hibrit Ortamlar: Veri Akışı ve Denetim Stratejileri

Hibrit bir Exchange mimarisi, kurumun iletişim altyapısını iki farklı dünyaya bölerek yönetir: On-prem Exchange sunucuları ve Exchange Online / Microsoft 365 altyapısı. Bu mimari esneklik sunar ancak beraberinde denetim, uyum ve veri akışı açısından yeni zorluklar doğurur.

Supervisory Review’in hibrit yapılarda nasıl işleyeceğini anlamak, doğru denetim politikasını belirlemek ve veri akışındaki kör noktaları ortadan kaldırmak için kritik önemdedir. Bu bölümde hibrit ortamlarda karşılaşılan denetim risklerini, veri akışını ve uygulanabilecek stratejileri detaylı şekilde inceliyoruz.

5.1 Hibrit Yapılarda Veri Akışı Nasıl Çalışır?

Hibrit ortamlarda iletiler farklı rotalar üzerinden hareket eder. Bu farklı yollar, denetim sürecinin hangi noktada devreye girmesi gerektiğini belirler. Tipik veri akışları

• On-prem → On-prem Mesaj tamamen kurum içinde kalır ve On-Prem SR devrededir.
• On-prem → Exchange Online Mesaj hybrid connector üzerinden Microsoft 365’e akar; denetim kapasitesine göre her iki tarafta da görünür hale getirilebilir.
• Exchange Online → On-prem Buluttan içeri dönen mesajlar için On-Prem SR sınırlı görünürlük sağlar.
• Exchange Online → Exchange Online Purview Communication Compliance tam kapsam sağlar.

Bu senaryolar arasında özellikle çapraz akışlar (cross flow) en riskli olanlarıdır çünkü çoğu kurum yalnızca bir tarafta denetim olduğunu varsayar ve diğer taraftaki akışı kaçırabilir.

5.2 Hibritte En Sık Yaşanan Denetim Açıkları

Hibrit yapılarda gözetimin eksik kaldığı görülen tipik zayıflıklar:

• Journal/New Transport kuralları yalnızca on-prem’de bırakılmıştır → Exchange Online’daki iletiler denetlenemez.
• Purview politika kapsamı sadece cloud kullanıcılarına atanmıştır → On-prem kullanıcıların hareketleri görünmez olur.
• Arbitraj posta kutuları on-prem’de kaldığında keşif kapasitesi düşer Kesintili audit log zinciri (on-prem log retention kısa tutulduysa)
• Teams/SharePoint trafiği tamamen denetim dışında kalır (on-prem SR bunu göremez)
• Kullanıcı mailboxes’ı iki ortamda bölünmüştür → Denetim tutarlılığı zarar görür.

Bu nedenle hibrit ortamlar için tek taraflı denetim yetersizdir, çift mimariye göre tasarlanmış bir denetim stratejisi gerekir.

5.3 Hibrit İçin Önerilen Denetim Stratejileri

Hibrit ortamlarda en kritik yaklaşım, denetimi tek noktaya indirmek ve veri akışını standartlaştırmaktır. Aşağıdaki stratejiler sektör pratiklerine uygundur:

5.3.1 “Cloud-First Denetim” Stratejisi (En Önerilen)

Bu modelde amaç, tüm denetimi Microsoft 365 Purview üzerine taşımaktır. Bu Çalışma şekli ile On-prem kullanıcıların mail flow’u Exchange Online üzerinden route edilir ve böylece Tüm içerik Purview ile incelenir ve sonrasında On-prem SR minimal seviyede veya tamamen devre dışı bırakılır. Bu yöntemin sunmuş olduğu avantajları;

• Tek panel → tek denetim noktası
• Daha az operasyonel yük
• AI destekli modern denetim
• Teams/SharePoint gibi cloud kanallarını da kapsar

5.3.2 “Dual-Review” Stratejisi (Zorunlu Regülasyon Durumlarında)

Bazı sektörlerde (bankacılık, SPK, hukuk) hem on-prem hem cloud tarafta denetimin aktif olması gerekebilir.

Bu modelde On-prem SR yalnızca lokal mail flow için çalışır ve Cloud’daki kullanıcılar Purview tarafından denetlenir ve günün sonunda uyum ekibi iki denetim kaynağını birleştiren toplanmış bir rapor elde eder.

Dual-Review Stratejisinin yönetimi zor olsa bile zorunlu regülasyon durumlarında seçilmek zorundadır. bu durumun sağlamış olduğu en büyük Dezavantaj ise İki farklı kaynaktan rapor toplamak bilgi sistemleri güvenlik ve denetim ekiplerine operasyonel yük oluşturmadır.

5.3.3 “Migration-Phase Denetim” Stratejisi (Taşınma Sürecinde)

O365 Hibrit geçişler en riskli dönemlerdir. Bu dönemler de Posta kutularının bir kısmı on-prem de bir kısmı da cloud’dayken ciddi riskler oluşur. Bu dönemde genellikle On-prem SR devrede kalır ve Aynı anda Purview geçici politikalar uygulanır. Tüm kullanıcılar cloud’a geçtikten sonra SR tamamen devre dışı bırakılabilir. O365 Migration sırasında önemli bir vakanın olmaması istenilir çünkü vaka analizi bu durumlarda incelemek zordur ve kayıp/kaçak bilinmezliğin en fazla olduğu dönemdir.

Bu dönem, regülasyon açısından en çok açık veren dönemdir ve özel kontrol gerektirir. O365 Migration projesi uzun bir zaman dilimine yayılacaksa Bilgi Sistemleri Güvenlik ve Denetim birimlerine proje hakkında düzenli bilgiler verilmeli ve proje süreç yönetimi paylaşılmalıdır.

O365 Migration projesi aynı zaman da O365 Hibrit mimarisidir. O365 Migration projesi uzun sürecekse bu projeye başlamadan önce O365 Migration projesi gibi değil O365 Hibrit projesi gibi yaklaşmak ve alt yapıyı buna tasarlamak uyum yasaları ve regülasyonlar için en iyi yöntemdir ve proje O365 Migration projesi olsa bile Hibrit En İyi Pratikler önerileri uygulanmalıdır.

5.4 Hibrit En İyi Pratikler (Best Practices)

Aşağıdaki maddeler hibrit ortamlar için sektör tarafından kabul görmüş en iyi uygulamalardır:

• Denetimi tek merkezde toplamak ve böylece Cloud-first yaklaşımı her zaman daha sade, daha güçlü ve daha güvenlidir.
• Mail flow’un standardize edilmesi Tüm iletilerin aynı yoldan geçmesi, denetim tutarlılığını sağlar.
• Audit log retention sürelerini eşitlemek On-prem ve cloud log’ları aynı süre saklanmalıdır.
• Uyum ekipleri için birleşik dashboard oluşturmakPurview üzerinden hem on-prem hem cloud aktiviteleri tek noktada görülür.
• Journal ve Transport kurallarını harmonize etmek Hibritte en çok açık yaratan konudur; mutlaka gözden geçirilmelidir.

5.5 Mini Senaryo: “İletinin Nerede Denetlendiğini Kimse Bilmiyor”

Bir finans kuruluşunda:

• Yönetim ekibi hâlâ on-prem’de
• Genel kullanıcılar Exchange Online’da
• Mail akışı karma
• Denetim politikaları sadece cloud’da tanımlı

Sonuç:
On-prem yöneticilerin dışa gönderdiği bazı kritik e-postalar Purview politikalarına hiç takılmaz → denetim boşluğu oluşur.

Çözüm:
Mail flow standardizasyonu + Cloud-first denetim stratejisi uygulanır. Tüm yöneticilerin iletileri cloud üzerinden route edilir → tam görünürlük sağlanır. Hibrit ortamlarda denetim stratejisi, sadece SR/policy ayarlarından değil; mail flow, veri akışı, log süreleri ve regülasyon kapsamı gibi birçok bileşenden etkilenir. Doğru tasarlanmayan hibrit çözümler:

• Denetim boşlukları oluşturur
• Uyum riskleri doğurur
• Delil bütünlüğünü zayıflatır
• Regülasyonlarla uyumsuzluk yaratır

Bu nedenle en çağdaş yaklaşım: Cloud-first / Purview merkezli bir denetim modelidir.

6. Sonuç ve Sonraki Adımlar

Hibrit Exchange ortamlarında Supervisory Review uygulamak, ilk bakışta iki sistemin basit bir şekilde birlikte çalışması gibi görünse de; gerçekte bu mimari çok daha karmaşık bir denetim ekosistemi oluşturur. E-postaların hangi yoldan geçtiği, hangi politikaların hangi kullanıcıya uygulandığı, log retention sürelerinin nasıl yönetildiği ve denetim altyapısının ne kadar tutarlı çalıştığı hibrit yapılarda kritik önem taşır.

Yukarıdaki mini senaryoda olduğu gibi, yönetici grubunun hâlâ on-prem’de kalması, genel kullanıcıların buluta taşınması ve denetim politikalarının yalnızca cloud tarafında tanımlı olması; denetim boşluğu, delil zinciri kopukluğu ve regülasyon uyumsuzluğu gibi ciddi risklere yol açabilir. Bu tür hibrit mimari hataları çoğu zaman fark edilmez ve yıllar boyunca gözetim mekanizmasında görünmeyen açıklara sebep olur.

Bu nedenle hibrit yapılarda en doğru yaklaşım:

• mail flow’un standartlaştırılması,
• denetimin mümkün olduğunca tek noktada toplanması,
• log ve retention sürelerinin uyumlaştırılması,
• Cloud-first / Purview merkezli denetim modeline geçiş olarak öne çıkmaktadır.

Hibrit Supervisory Review doğru tasarlandığında güçlü, esnek ve uyumlu bir yapı sunabilir; ancak yanlış kurgulandığında kurumun en kritik iletişim hattında görünmez riskler oluşturur. Modern iletişim kanallarının çeşitliliği, regülasyonların kapsamının genişlemesi ve yapay zekânın uyum süreçlerinde standart haline gelmesi, hibrit yapılarda bile denetimin Purview merkezli olmasını gerektiriyor.